使用OpenSSL快速創建TLS/SSL證書
前言
在配置Apache，FTP和Email郵件服務器的時候。為了實現安全傳輸，往往需要用到TLS或SSL服務來為服務器端和客戶端建立的連接加密。不熟悉的話，每次配置安裝TLS/SSL都得找一番資料。趁有時間索性寫一個關于TLS/SSL的快速文檔。方便自己的同時，也方便別人。
理論描述
SSL(Secure Sockets Layer 安全套接層),及其繼任者傳輸層安全（Transport Layer Security，TLS）用于在兩個通信應用程序之間提供保密性和數據完整性的一種安全協議。TLS與SSL在傳輸層對網絡連接進行加密。
TLS/SSL協議提供的服務主要有：
認證用戶和服務器，確保數據發送到正確的客戶機和服務器；
加密數據以防止數據中途被竊取；
維護數據的完整性，確保數據在傳輸過程中不被改變。
操作步驟
準備工作
檢查是否正確安裝openssl軟件包
[root@nms ~]# rpm -q openssl
openssl-1.0.0-25.el6_3.1.x86_64
創建一個新的CA
[root@nms ~]# /etc/pki/tls/misc/CA -newca
CA certificate filename (or enter to create) ##按Enter鍵
Making CA certificate ...
Generating a 2048 bit RSA private key
...................................+++
..+++
writing new private key to '/etc/pki/CA/private/./cakey.pem' ##生成CA的密鑰
Enter PEM pass phrase: ##輸入一個cakey.pem私鑰保護密碼
###以后，每一次訪問cakey.pem都需要輸入此密碼
###輸入密碼不回顯。
###一定要記住了，不然沒法給其他主機簽證書。
Verifying - Enter PEM pass phrase: ##重新輸入，以驗證密碼
-----
##接下來給CA自己創建一個證書
###填寫申請信息。
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:CN ##CA所在國家
State or Province Name (full name) []:Beijing ##省份
Locality Name (eg, city) [Default City]:Beijing ##城市
Organization Name (eg, company) [Default Company Ltd]:Xiyang Liu Group Co., Ltd
###CA公司信息，誰在運作這個CA，誰為信用承保。
Organizational Unit Name (eg, section) []:NIC ##部門
Common Name (eg, your name or your server s hostname) []:ca.xiyang-liu.com
###管理者或者服務器名
Email Address []:manager@ca.xiyang-liu.com
###管理郵箱，或者投訴郵箱，所有簽過的證書都有這項信息。
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []: ##加密CA證書的密碼，也要記住，可不輸入
An optional company name []: ##可以不輸入
Using configuration from /etc/pki/tls/openssl.cnf
##CA給自己簽名
Enter pass phrase for /etc/pki/CA/private/./cakey.pem: ##輸入cakey保護密碼
Check that the request matches the signature ##檢查請求文件的完整性
Signature ok
Certificate Details:
Serial Number:
b9:48:b2:aa:5b:76:6c:23
Validity
Not Before: Dec 6 12:06:42 2012 GMT
Not After : Dec 6 12:06:42 2015 GMT
Subject:
countryName = CN
stateOrProvinceName = Beijing
organizationName = Xiyang Liu Group Co., Ltd
organizationalUnitName = NIC
commonName = ca.xiyang-liu.com
emailAddress = manager@ca.xiyang-liu.com
X509v3 extensions:
X509v3 Subject Key Identifier:
EC:1C:4B:FB:82:DB:9C:86:.....47:0F:91:A5:6F:6F:32
X509v3 Authority Key Identifier:
keyid:EC:1C:4B:FB:82:D.......2:C8:47:0F:91:A5:6F:6F:32
X509v3 Basic Constraints:
CA:TRUE
Certificate is to be certified until Dec 6 12:06:42 2015 GMT (1095 days)
Write out database with 1 new entries
Data Base Updated
創建CA就結束了。總體就三個過程。1.生成一個“絕密”的密鑰。2.創建一個簽名申請文件。3.自己給自己簽名，生成一個標記CA的證書。
上述操作在CA服務器上完成。
CA服務器就是專管授權簽名的服務器。簡單說，它就是一個說一不二的“老大”。它要為簽過的證書承保。如果簽過的顧客干壞事了，它有連帶責任。所以讓CA簽名都是收錢的。收的錢越多，從某種程度上說，越有說服力。不收錢的CA，生存不下去，也沒人看得起。非常有名的CA有verisign。
創建簽名申請
創建一個簽名申請，分兩個過程。創建一個自己的密鑰，然后提交給CA，請求簽名。
[root@nms ~]# openssl genrsa -des3 -out my-server.key 1024
### 1024：表示生成DES3加密的1024位的密碼
Generating RSA private key, 1024 bit long modulus
......++++++
......................++++++
e is 65537 (0x10001)
Enter pass phrase for my-server.key: ##輸入一個私鑰保護密碼
Verifying - Enter pass phrase for my-server.key: ##驗證輸入
從私鑰中生成公鑰：（可選，證書里就有，一般不用單獨導出來）
[root@nms ~]# openssl rsa -in my-server.key -pubout > my-server-public.key
Enter pass phrase for my-server.key: ##輸入剛才設定的私鑰保護密碼
writing RSA key
創建證書請求
[root@nms ~]# openssl req -new -key my-server.key -out my-server.csr
Enter pass phrase for my-server.key:
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
##下面的信息是證書請求方的信息，不一定和CA相同。
###兩者的Common Name一定不能相同，否則CA不能給這個請求簽名
Country Name (2 letter code) [XX]:CN
State or Province Name (full name) []:Beijing
## State or Province Name必須和CA一致，否則無法簽名。
Locality Name (eg, city) [Default City]:Beijing
Organization Name (eg, company) [Default Company Ltd]:Xiyang Liu Group Co., Ltd
## Organization Name必須和CA一致，否則無法簽名。
Organizational Unit Name (eg, section) []:NIC
Common Name (eg, your name or your server s hostname) []:nms.xiyang-liu.com
Email Address []:manager@nms.xiyang-liu.com
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:PASSW0D1 #可不輸入
An optional company name []:
兩步并作一步走，使用如下命令直接創建一個全新的申請：
openssl req -new -nodes -newkey rsa:1024 -keyout my-server-key.key -out my-server-req.csr -days 365
-nodes參數表示不加密私鑰。如果不添加nodes參數，以后每次使用私鑰時都必須輸入密碼（如Apache每次重啟）
-newkey rsa:1024 指定密鑰長度
-days 365 設定證書有效期為一年，而不是默認的30天。
填寫信息，命令執行完畢，會生成兩個文件。自己放好my-server-key.key。把my-server-req.csr發給CA請求簽名。不差錢可以發給verisign哦。
在使用證書的主機上操作。可以和CA是一個主機。
CA簽名請求
[root@nms ~]# openssl ca -in my-server-req.csr -out my-server-req.crt
Using configuration from /etc/pki/tls/openssl.cnf
Enter pass phrase for /etc/pki/CA/private/cakey.pem: ##輸入cakey保護密碼
Check that the request matches the signature
Signature ok
Certificate Details:
Serial Number:
b9:48:b2:aa:5b:76:6c:24
Validity
Not Before: Dec 6 13:51:13 2012 GMT
Not After : Dec 6 13:51:13 2013 GMT
Subject:
countryName = CN
stateOrProvinceName = Beijing
organizationName = Xiyang Liu Group Co., Ltd
organizationalUnitName = NIC
commonName = nms.xiyang-liu.com
emailAddress = manager@nms.xiyang-liu.com
X509v3 extensions:
X509v3 Basic Constraints:
CA:FALSE
Netscape Comment:
OpenSSL Generated Certificate
X509v3 Subject Key Identifier:
36:C4:AB:56:5............5:C2:84:A6:86:15
X509v3 Authority Key Identifier:
keyid:EC:1C:4B...........F:91:A5:6F:6F:32
Certificate is to be certified until Dec 6 13:51:13 2013 GMT (365 days)
Sign the certificate? [y/n]:y
1 out of 1 certificate requests certified, commit? [y/n]y
Write out database with 1 new entries
Data Base Updated
創建自簽證書
如果懶到連CA都不想創建，或者不需要建。就執行下面命令直接創建自簽證書：
openssl req -x509 -nodes -newkey rsa:1024
-keyout my-server-key.key -out my-server.crt
命令執行結束將只生成crt證書和私鑰文件，沒有CA的證書。可用于傳遞電子郵件。
使用生成的證書
使用時，對于服務器往往需要CA的證書、密鑰文件和簽名證書。我們的CA不受系統信任，系統不會集成CA證書。所以需要指定。如果純粹是私人傳輸郵件加密用的，則完全何以使用自簽名證書。
